Goodwin Procter, một trong những hãng luật lớn nhất Hoa Kỳ, đã trả khoảng 10 triệu USD cho nhóm tống tiền có tên Luna Moth sau một vụ vi phạm an ninh dữ liệu mà hãng đã tiết lộ hồi đầu năm nay, theo những người thạo tin. Khoản thanh toán này, được báo cáo cùng với việc Brit được cho là đã đóng vai trò chủ đạo trong khâu ứng phó, là một trong những con số tiền chuộc lớn nhất được công khai liên quan đến một vụ xâm phạm hãng luật và làm nổi bật cách các tổ chức pháp lý xử lý dữ liệu khách hàng khi kẻ tấn công đe dọa.
Chuyện Gì Đã Xảy Ra Tại Goodwin Procter
Các chi tiết vẫn còn hạn chế, nhưng những sự kiện cốt lõi khá rõ ràng: Goodwin Procter đã bị xâm phạm an ninh dữ liệu hồi đầu năm, vụ việc đã được tiết lộ, và hãng cuối cùng đã trả cho một nhóm tống tiền khoảng 10 triệu USD thay vì để dữ liệu bị rò rỉ hoặc rao bán. Luna Moth, nhóm đứng sau vụ tống tiền, không phải là cái tên quen thuộc như một số băng đảng ransomware, nhưng hoạt động của chúng phù hợp với kiểu mẫu ngày càng phổ biến: kẻ tấn công xâm nhập vào các tệp nhạy cảm, đánh cắp chúng, rồi đòi tiền chuộc để ngăn việc công khai dữ liệu thay vì nhất thiết phải mã hóa toàn bộ hệ thống.
Quy mô của khoản thanh toán này rất đáng chú ý. Các yêu cầu tiền chuộc hàng chục triệu USD trong lịch sử thường gắn với các hệ thống bệnh viện lớn, nhà sản xuất, hay các định chế tài chính. Việc một hãng luật đạt đến con số đó cho thấy hồ sơ vụ kiện, thư từ khách hàng và các tài liệu được bảo vệ bởi đặc quyền pháp lý trở nên có giá trị như thế nào đối với các nhóm tống tiền, và các hãng sẵn sàng chi bao nhiêu để giữ dữ liệu đó khỏi công chúng.
Tại Sao Các Hãng Luật Là Mục Tiêu Hấp Dẫn
Các hãng luật nắm giữ một khối lượng tập trung bất thường những tài liệu nhạy cảm. Hồ sơ kiện tụng, tài liệu sáp nhập, hồ sơ cá nhân liên quan đến các vấn đề gia đình và di sản, cùng các thư từ khách hàng được bảo vệ bởi đặc quyền đều đi qua máy chủ của hãng. Không giống như một nhà bán lẻ hay một cơ sở y tế, dữ liệu của hãng luật thường liên quan đồng thời đến nhiều bên thứ ba: khách hàng, luật sư đối lập, tòa án và các cơ quan quản lý. Mạng lưới phơi nhiễm đó mang lại sức ép đáng kể cho các nhóm tống tiền, bởi vì một vụ rò rỉ không chỉ làm tổn hại đến hãng luật, mà còn có thể ảnh hưởng đến các nghĩa vụ bảo mật đối với mỗi khách hàng có hồ sơ bị đụng chạm.
Động lực này phản ánh những gì đã diễn ra trong các lĩnh vực khác gần đây. Vụ tấn công vishing Cushman & Wakefield cho thấy cách kẻ tấn công có thể lợi dụng kỹ thuật xã hội để xâm nhập sâu vào hồ sơ của một tổ chức, trong khi các sự cố như vụ rò rỉ dữ liệu Napoleon Perdis chứng minh rằng dữ liệu khách hàng bị rò rỉ có thể nhanh chóng lan truyền công khai ra sao khi kẻ tấn công quyết định kiếm tiền từ nó. Trong cả hai trường hợp, và giờ đây trong vụ Goodwin Procter, phép tính cơ bản cho các nạn nhân là như nhau: đặt cái giá phải trả lên bàn cân với chi phí và hậu quả về danh tiếng nếu dữ liệu bị rò rỉ công khai.
Điều Này Có Ý Nghĩa Gì Với Bạn
Đối với công chúng, một khoản tiền chuộc của hãng luật có vẻ xa vời so với những mối bận tâm hàng ngày về quyền riêng tư, nhưng những tác động dây chuyền là có thật. Nếu bạn là khách hàng hiện tại hoặc trước đây của một hãng bị ảnh hưởng bởi một vụ xâm phạm như thế này, hồ sơ cá nhân, chi tiết tài chính hoặc lịch sử vụ việc của bạn có thể đã nằm trong phần dữ liệu bị đánh cắp, bất kể cuối cùng tiền chuộc có được trả hay không. Việc trả tiền không đảm bảo dữ liệu đã bị hủy hoặc không bao giờ bị sao chép đi nơi khác.
Đây là một phần của xu hướng rộng hơn, nơi thông tin cá nhân nhạy cảm, dù là hồ sơ pháp lý, tệp cử tri hay cơ sở dữ liệu khách hàng, bị các nhóm tống tiền coi như hàng hóa. Cuộc tranh luận về cách xử lý dữ liệu cũng không giới hạn ở các hãng luật; nó lặp lại những lo ngại được nêu ra trong các thảo luận về chia sẻ dữ liệu cử tri và quyền riêng tư, khi các tổ chức nắm giữ khối lượng lớn dữ liệu cá nhân đang bị giám sát ngày càng chặt chẽ hơn về cách thức thông tin đó được bảo vệ và tiết lộ.
Nếu bạn đã nhận được thông báo vi phạm từ bất kỳ tổ chức nào, bao gồm cả hãng luật, hãy nghiêm túc xem xét ngay cả khi thông báo nói rằng tiền chuộc đã được trả hoặc tình huống đã được giải quyết. Việc trả tiền cho nhóm tống tiền chỉ mua được sự im lặng trong ngắn hạn, chứ không phải là sự đảm bảo rằng dữ liệu của bạn chưa bao giờ bị sao chép, bán hoặc giữ lại bởi một bên thứ cấp.
Điểm Cần Lưu Ý Cho Độc Giả
Dưới đây là những gì bạn có thể làm nếu lo ngại về việc bị phơi nhiễm từ một sự cố như thế này:
- Theo dõi sát sao mọi thư từ thông báo vi phạm, và đừng cho rằng một sự cố đã được giải quyết nghĩa là dữ liệu của bạn an toàn.
- Sử dụng dịch vụ giám sát tín dụng hoặc bảo vệ chống đánh cắp danh tính nếu bạn được thông báo rằng hồ sơ tài chính hoặc cá nhân có liên quan.
- Đổi mật khẩu và bật xác thực đa yếu tố trên mọi tài khoản liên kết với tổ chức bị ảnh hưởng.
- Luôn hoài nghi trước các email hoặc cuộc gọi tiếp theo đề cập đến vụ xâm phạm, vì kẻ tấn công đôi khi sử dụng các chi tiết bị rò rỉ để thực hiện các nỗ lực lừa đảo phụ.
Vụ việc Goodwin Procter là một lời nhắc nhở rằng các khoản tiền chuộc, ngay cả những khoản lớn, cũng không xóa bỏ rủi ro riêng tư tiềm ẩn đối với những người có dữ liệu bị đánh cắp. Khi các nhóm tống tiền tiếp tục nhắm vào các tổ chức nắm giữ hồ sơ nhạy cảm, việc cảnh giác với các thông báo vi phạm và thực hiện các bước bảo vệ cơ bản vẫn là biện pháp phòng vệ đáng tin cậy nhất dành cho mỗi cá nhân.
